Wer unter das NISG 2026 fällt, muss sich bei der Cybersicherheitsbehörde registrieren. Das geht seit 1. Oktober 2026 im Unternehmensserviceportal (USP), in einer eigenen Anwendung namens „NIS2 Services“. Die Frist läuft bis Jahresende. Hier steht, was Sie vorher klären müssen, welche Rollen im USP nötig sind und welche Angaben abgefragt werden. Aufwendig ist meist nicht das Formular. Länger dauert die Frage, wer im Betrieb überhaupt die nötigen Rechte im USP hat.
NIS2-Registrierung: wer sich registrieren muss
Registrieren müssen sich wesentliche und wichtige Einrichtungen nach § 24 NISG 2026. Das sind mittlere und große Unternehmen aus den 18 Sektoren der Anlagen 1 und 2, dazu einige Sonderfälle, die unabhängig von der Größe erfasst sind. Welche Sektoren das sind und wo die Größenschwellen liegen, steht im Artikel zu den betroffenen Sektoren nach Anlage 1 und 2.
Niemand schickt Ihnen einen Bescheid. Jeder Betrieb beurteilt selbst, ob er betroffen ist, und jede juristische Person registriert sich einzeln, auch innerhalb eines Konzerns. Halten Sie Ihre Einschätzung schriftlich fest, auch wenn das Ergebnis „nicht betroffen“ lautet. Das hilft später, wenn ein Kunde oder die Behörde nachfragt.
Vorbereitung: USP-Zugang, ID Austria und Verfahrensrechte
Viele Unternehmen sind schon länger im USP registriert. Wer dort USP-Administrator ist, weiß im Betrieb aber nicht immer jemand. Klären Sie das zuerst, denn nur der Administrator kann anderen Personen Rechte geben.
Für NIS2 gibt es im USP drei Verfahrensrechte. „NIS Gesamt“ umfasst alles. „NIS Registrierung“ reicht für die Registrierung und spätere Änderungen. „NIS Meldung“ brauchen alle, die im Ernstfall einen Cybersicherheitsvorfall melden sollen. Jede dieser Personen braucht außerdem eine ID Austria. Vergeben Sie das Melderecht an mindestens zwei Personen, damit im Urlaub oder im Krankenstand jemand melden kann. Die Fristen für Vorfallsmeldungen laufen auch am Wochenende.
Soll jemand außerhalb des Unternehmens im USP für Sie tätig werden, etwa Ihre Steuerberatung, geht das über eine Vollmacht. Die Verantwortung für die Angaben bleibt beim Unternehmen.
Die Registrierung im USP Schritt für Schritt
- Betroffenheit klären und festhalten: Sektor, Art der Einrichtung, Mitarbeiterzahl, Umsatz, Bilanzsumme, Beteiligungen. Daraus ergibt sich, ob Sie eine wesentliche oder eine wichtige Einrichtung sind.
- USP-Administrator ausfindig machen und prüfen, ob sein Zugang funktioniert.
- Festlegen, wer registriert und wer im Ernstfall meldet, und sicherstellen, dass alle eine ID Austria haben.
- Der Administrator vergibt die Verfahrensrechte „NIS Gesamt“, „NIS Registrierung“ oder „NIS Meldung“.
- In „Mein USP“ die Anwendung „NIS2 Services“ öffnen und die Angaben eintragen. Als Kontakt am besten eine Funktionsadresse und eine Telefonnummer angeben, die auch erreichbar ist, wenn eine einzelne Person nicht da ist.
- Die Bestätigung mit Datum ablegen, zusammen mit Ihrer schriftlichen Einschätzung aus Schritt 1.
Welche Angaben abgefragt werden
§ 29 Abs. 2 NISG 2026 verlangt den Namen der Einrichtung, Anschrift und Kontaktdaten, Sektor und Art der Einrichtung, die EU-Mitgliedstaaten, in denen Sie Dienste erbringen, gegebenenfalls Ihre IP-Adressbereiche, die Niederlassungen in der EU und die Angaben zu den Schwellenwerten. Die ganze Liste mit Erklärungen steht im Artikel NIS2 in Österreich: ab wann und welche Fristen.
Bei den IP-Adressbereichen hängen viele Betriebe. Gemeint sind laut WKO nur statische öffentliche Adressen, also die festen Adressen Ihres Internetanschlusses, nicht die internen Adressen im Firmennetz. Diese Angaben stellen wir als IT-Betreuer für Sie zusammen. Wer einen Anschluss mit wechselnder Adresse hat, hat meist keinen statischen Bereich einzutragen.
Bis wann: 31. Dezember 2026 oder Anfang Jänner?
Das Gesetz sagt: innerhalb von drei Monaten ab Inkrafttreten. Das USP nennt als Termin den 1. Jänner 2027. Das Bundesamt für Cybersicherheit verweist darauf, dass die Frist wegen des Feiertags nach § 33 Abs. 2 AVG spätestens am 4. Jänner 2027 endet. Wir planen trotzdem mit dem 31. Dezember 2026. Zwischen Weihnachten und Neujahr ist in vielen Betrieben niemand erreichbar, der die Rechte im USP hat, und eine fehlende ID Austria lässt sich nicht an einem Nachmittag nachholen.
Wer erst später betroffen wird, etwa weil der Betrieb über die Größenschwelle wächst, hat ab diesem Zeitpunkt drei Monate Zeit. Wer die Registrierung versäumt, riskiert laut WKO eine Strafe bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro.
Nach der Registrierung
Ändern sich Name, Kontaktdaten, Sektor, Mitgliedstaaten oder IP-Bereiche, müssen Sie das innerhalb von zwei Wochen im USP nachtragen. Bei Niederlassungen und Schwellenwerten haben Sie drei Monate. Ein neuer Internetanschluss mit neuen festen Adressen ist also auch ein NIS2-Thema.
Erhebliche Cybersicherheitsvorfälle sind seit 1. Oktober 2026 zu melden, mit Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht nach einem Monat. Die Selbstdeklaration über die umgesetzten Maßnahmen ist binnen zwölf Monaten nach Eintritt der Registrierungspflicht fällig, laut WKO bis 30. September 2027. Bis dahin sollte die Technik stehen. Wo Ihr Betrieb steht, zeigt die Gap-Analyse in der NIS2-Beratung, und wie wir Firewall, Backup und Anmeldung absichern, steht bei der technischen Umsetzung von NIS2.
Dieser Artikel fasst die Informationen von USP, Bundesamt für Cybersicherheit und WKO zusammen und ersetzt keine Rechtsberatung. Ob Ihr Betrieb betroffen ist, ist im Einzelfall zu prüfen. Fragen zur technischen Seite beantworten wir gern, erreichbar über die Kontaktseite oder telefonisch.
Quellen
- Unternehmensserviceportal (USP): Informationen zur Umsetzung der NIS-2-Richtlinie, Stand Oktober 2026
- Bundesamt für Cybersicherheit: Registrierungspflicht nach dem NISG 2026, Stand Oktober 2026
- Netz- und Informationssystemsicherheitsgesetz 2026, BGBl. I Nr. 94/2025, §§ 24, 25, 29, 33, 34
- WKO: Fragen und Antworten zum NISG 2026